3.2 Ermittlung erheblicher IKT-Risiken

Die zuständigen Behörden sollten unter Berücksichtigung der nachstehenden Schritte die erheblichen IKT-Risiken ermitteln, denen das Institut ausgesetzt ist oder ausgesetzt sein könnte.

3.2.1 Überprüfung des IKT-Risikoprofils des Instituts

Bei der Überprüfung des IKT-Risikoprofils des Instituts sollten die zuständigen Behörden alle relevanten Informationen über die IKT-Risikopositionen des Instituts, einschließlich der Informationen gemäß Absatz 37 und der festgestellten erheblichen Mängel oder Schwachstellen in der IKT-Organisation und den institutsweiten Kontrollen unter Titel 2 dieser Leitlinien, berücksichtigen und diese Informationen gegebenenfalls in einer angemessenen Weise überprüfen. Im Rahmen dieser Überprüfung sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. die potenziellen Auswirkungen einer erheblichen Störung der IKT-Systeme des Instituts auf das Finanzsystem auf nationaler oder internationaler Ebene;
• b. ob das Institut aufgrund von Internet-Abhängigkeiten, einer hohen Akzeptanz innovativer IKT-Lösungen oder anderen geschäftlichen Vertriebskanälen, die es zu einem wahrscheinlichen Ziel für Cyber-Angriffe machen, womöglich IKT-Sicherheitsrisiken und IKT-Verfügbarkeits- und Kontinuitätsrisiken ausgesetzt ist;
• c. ob das Institut aufgrund seiner komplexen (z. B. infolge von Fusionen oder Akquisitionen) oder veralteten IKT-Systeme womöglich in verstärktem Maße IKT-Sicherheitsrisiken, IKT-Verfügbarkeits- und Kontinuitätsrisiken, IKT-Datenintegritätsrisiken oder IKT-Änderungsrisiken ausgesetzt ist;
• d. ob das Institut erhebliche Änderungen an seinen IKT-Systemen und/oder seiner IKT-Funktion vornimmt (z. B. durch Fusionen, Akquisitionen, Desinvestitionen oder den Austausch ihrer IKT-Kernsysteme), die die Stabilität oder das ordnungsgemäße Funktionieren der IKT-Systeme beeinträchtigen können und zu erheblichen IKT-Verfügbarkeits- und Kontinuitätsrisiken, IKT-Sicherheitsrisiken, IKT-Änderungsrisiken oder IKT-Datenintegritätsrisiken führen können;
• e. ob das Institut IKT-Dienstleistungen oder IKT-Systeme innerhalb oder außerhalb der Gruppe ausgelagert hat, wodurch es erheblichen IKT-Auslagerungsrisiken ausgesetzt sein kann;
• f. ob das Institut aggressive IKT-Kostensenkungsmaßnahmen durchführt, die eine Reduzierung der erforderlichen IKT-Investitionen, Ressourcen und IT-Kompetenzen bewirken können und die Exposition gegenüber allen IKT-Risikoarten in der Taxonomie erhöhen können;
• g. ob der Standort wichtiger IKT-Maßnahmen/Rechenzentren (z. B. Regionen, Länder) das Institut Naturkatastrophen (z. B. Überschwemmungen, Erdbeben), politischer Instabilität oder Arbeitskonflikten und zivilen Unruhen aussetzen kann, die zu einer erheblichen Zunahme der IKT-Verfügbarkeits- und Kontinuitätsrisiken und der IKT-Sicherheitsrisiken führen können.

3.2.2 Überprüfung der kritischen IKT-Systeme und -Dienste

Im Rahmen des Prozesses zur Ermittlung der IKT-Risiken mit potenziell erheblichen aufsichtlichen Auswirkungen auf das Institut sollten die zuständigen Behörden die Unterlagen des Instituts überprüfen und eine Stellungnahme dazu abgeben, welche IKT-Systeme und -Dienste für eine ordnungsgemäße Funktionsweise, Verfügbarkeit, Kontinuität und Sicherheit der wesentlichen Tätigkeiten des Instituts von entscheidender Bedeutung sind.

Zu diesem Zweck sollten die zuständigen Behörden die vom Institut angewandten Methoden und Prozesse überprüfen, um die kritischen IKT-Systeme und -Dienste zu ermitteln, wobei zu berücksichtigen ist, dass einige IKT-Systeme und -Dienste vom Institut im Hinblick auf die Geschäftskontinuität und die Verfügbarkeit, im Hinblick auf die Sicherheit (z. B. Betrugsverhütung) und/oder im Hinblick auf die Vertraulichkeit (z. B. vertrauliche Daten) als kritisch betrachtet werden können. Bei der Durchführung der Überprüfung sollten die zuständigen Behörden berücksichtigen, dass kritische IKT-Systeme und -Dienste mindestens eine der folgenden Bedingungen erfüllen sollten:

• a. sie unterstützen das Kerngeschäft und die Vertriebskanäle (z. B. Geldautomaten, Online- und Mobile Banking) des Instituts;
• b. sie unterstützen wesentliche Governance-Prozesse und Unternehmensfunktionen, einschließlich des Risikomanagements (z. B. Risikomanagementsysteme sowie Systeme zur Verwaltung der Finanzmittel);
• c. sie unterliegen besonderen gesetzlichen oder aufsichtlichen Anforderungen (falls vorhanden), die für einige systemrelevante Dienste (falls und wo zutreffend) erhöhte Verfügbarkeits-, Ausfallsicherheits-, Vertraulichkeits- oder Sicherheitsanforderungen erforderlich machen (z. B. Datenschutzgesetze oder mögliche „Recovery Time Objectives“ (RTO, d. h. die maximale Zeitspanne, innerhalb derer ein System oder ein Prozess nach einem Ereignis wiederhergestellt werden muss) und „Recovery Point Objective“ (RPO, d. h. die maximale Zeitspanne, innerhalb derer Daten im Falle eines Ereignisses verloren gehen können);
• d. sie verarbeiten oder speichern vertrauliche oder sensible Daten, bei denen sich ein unberechtigter Zugriff in erheblichem Maße auf den Ruf des Instituts, das Finanzergebnis oder die Solidität und Kontinuität seines Geschäfts (z. B. Datenbanken mit sensiblen Kundendaten) auswirken könnte; und/oder
• e. sie bieten Basisfunktionen, die für das angemessene Funktionieren des Instituts (z. B. Telekommunikations- und Konnektivitätsdienste, IKT- und Cybersicherheitsdienste) von entscheidender Bedeutung sind.

3.2.3 Ermittlung erheblicher IKT-Risiken für kritische IKT-Systeme und -Dienste

Unter Berücksichtigung der durchgeführten Überprüfungen des IKT-Risikoprofils und der oben genannten kritischen IKT-Systeme und -Dienste des Instituts sollten die zuständigen Behörden eine Stellungnahme zu den erheblichen IKT-Risiken abgeben, die ihrem aufsichtlichen Urteil zufolge erhebliche aufsichtliche Auswirkungen auf die kritischen IKT-Systeme und -Dienste des Instituts haben können.

Bei der Bewertung der potenziellen Auswirkungen von IKT-Risiken auf die kritischen IKT-Systeme und -Dienste eines Instituts sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. die finanziellen Auswirkungen, einschließlich (aber nicht beschränkt auf) den Verlust von Geldmitteln oder Vermögenswerten, potenzielle Kundenentschädigungen, Gerichts- und Sanierungskosten, vertraglichen Schadenersatz, Einnahmeausfälle;
• b. das Potenzial für Betriebsstörungen, unter Berücksichtigung (aber nicht beschränkt auf) die Kritikalität der betroffenen Finanzdienstleistungen, die Anzahl der potenziell betroffenen Kunden und/oder Zweigstellen und Mitarbeiter;
• c. die potenziellen Auswirkungen auf die Reputation des Instituts auf der Grundlage der Kritikalität der betroffenen Bankdienstleistung oder Geschäftstätigkeit (z. B. Diebstahl von Kundendaten), das externe Profil bzw. die externe Sichtbarkeit der betroffenen IKT-Systeme und -Dienste (z. B. Mobile- oder Online-Banking-Systeme, Verkaufsstellen, Geldautomaten oder Zahlungssysteme);
• d. die regulatorischen Auswirkungen, einschließlich potenzieller öffentlicher Kritik durch die Aufsichtsbehörde, Geldstrafen oder sogar eine Änderung von Zulassungen;
• e. die strategischen Auswirkungen auf das Institut, z. B. wenn strategische Produktpläne oder Geschäftspläne gefährdet oder gestohlen werden.

Die zuständigen Behörden sollten sodann die ermittelten IKT-Risiken, die als erheblich eingestuft werden, in die folgenden IKT-Risikokategorien eintragen, für die im Anhang zusätzliche Risikobeschreibungen und Beispiele bereitgestellt wurden. Die zuständigen Behörden sollten über die IKT-Risiken im Anhang im Rahmen der Bewertung unter Titel 3 nachdenken:

• a. IKT-Verfügbarkeits- und Kontinuitätsrisiko
• b. IKT-Sicherheitsrisiko
• c. IKT-Änderungsrisiko
• d. IKT-Datenintegritätsrisiko
• e. IKT-Auslagerungsrisiko

Die Einteilung in Kategorien dient dazu, den zuständigen Behörden dabei zu helfen, zu bestimmen, welche Risiken erheblich sind (falls zutreffend) und deshalb in den folgenden Bewertungsschritten einer näheren und/oder eingehenderen Überprüfung unterzogen werden sollten.